Symfony 6.2中AuthenticatorInterface找不到及旧Token失效方案咨询

问题场景 #

我正在为Symfony 6.2和API Platform项目创建自定义Token认证器，代码如下：

class TokenAuthenticator extends JWTTokenAuthenticator
{
    /**
     * @param PreAuthenticationJWTUserToken $preAuthToken
     * @param UserProviderInterface $userProvider
     * @return UserInterface
     */
    public function getUser($preAuthToken, UserProviderInterface $userProvider): UserInterface
    {
        $user = parent::getUser($preAuthToken, $userProvider);

        var_dump($preAuthToken->getPayload());exit;
    }
}

运行时始终遇到错误：

Attempted to load interface "AuthenticatorInterface" from namespace "Symfony\Component\Security\Guard".
Did you forget a "use" statement for "Symfony\Component\Security\Http\Authenticator\AuthenticatorInterface"?

该错误表明Symfony\Component\Security\Guard下的AuthenticatorInterface已被移除，替代为Symfony\Component\Security\Http\Authenticator\AuthenticatorInterface，LexikJWTAuthenticationBundle需要适配这一变更。

新认证器接口的相关文档 #

Symfony 6.x版本开始弃用了Guard组件，统一使用HTTP认证器体系。相关文档可参考：

• Symfony官方安全文档中的HTTP Authenticators章节，详细介绍了新认证器的实现规范与接口定义
• LexikJWTAuthenticationBundle官方文档中的Customizing the Authenticator部分，包含适配Symfony新认证体系的自定义认证器实现示例

密码修改时Token失效的更优实现方式 #

自定义认证器并非最优方案，推荐以下几种更简洁高效的实现：

1. 密码哈希戳记验证 #

• 在User实体中添加passwordChangedAt字段（DateTimeInterface类型），每次修改密码时更新该字段
• 签发JWT时将iat（签发时间）写入payload
• 认证阶段对比Token的iat与用户的passwordChangedAt：若Token签发时间早于密码修改时间，则判定Token失效，拒绝请求
• 优点：无需额外存储，实现成本低，性能损耗小
• 缺点：无法精准失效单个Token，只能失效密码修改前签发的所有Token

2. Token黑名单机制 #

• 使用Redis、Memcached或数据库存储已失效的Token（可只存储Token的jti标识或哈希值）
• 用户修改密码时，将当前用户的所有有效Token（或仅当前Token）加入黑名单
• 认证时先检查Token是否在黑名单中，若存在则拒绝请求
• 优点：可精准控制单个Token的失效，灵活性高
• 缺点：需要额外的存储服务，需考虑Token过期后的清理逻辑

3. 短生命周期Token + 刷新Token #

• 将Access Token的有效期设置为较短时间（如15分钟）
• 搭配Refresh Token用于获取新的Access Token，Refresh Token有效期可设为较长时间（如7天）
• 用户修改密码时，失效所有关联的Refresh Token（可存储Refresh Token的哈希值与用户关联，修改密码时清空）
• 优点：安全性更高，即使Access Token泄露，有效期短也能降低风险
• 缺点：增加了认证流程的复杂度，需要处理Refresh Token的刷新逻辑

内容的提问来源于stack exchange，提问作者sayou